Hoe voorkomt u cyberaanvallen via Office-documenten?

malware

Cybercriminelen voeren op grote schaal systeem-commando's uit via Office-documenten. Microsoft verhelpt het probleem niet. Beveiligingsbedrijf DearBytes heeft daarom drie maatregelen op een rij gezet waarmee de dreiging van dergelijke aanvallen kan worden gemitigeerd.

De aan Rusland gelinkte hackersgroep Fancy Bear, ook wel bekend als APT28, heeft de afgelopen weken Word-documenten de wereld in verspreid met namen als 'IsisAttackInNewYork.doc' en 'SabreGuard2017.docx'. Deze bestanden bieden in de praktijk echter geen nieuws over de terreuraanslag van eind oktober of over een oefening van het Amerikaanse leger in Oost-Europa. Op het moment dat gebruikers de documenten openen, worden zij geïnfecteerd met een stukje malware genaamd Seduploader. Hiermee scannen ze de computer van het slachtoffer om te kijken of het zin heeft om spyware te installeren.

Misbruik van lek in DDE

Fancy Bear maakt al vanaf eind oktober gebruik van een lek in de Microsoft Office-feature Dynamic Data Exchange (DDE). Dit onderdeel maakt het mogelijk om data van het ene Word-document in een ander Word-document te injecteren en biedt aanvallers daarmee een alternatief voor macro's. DDE is echter ook te misbruiken via Microsoft Outlook en Calendar-uitnodigingen, waardoor een aanvaller in de vorm van een e-mail zonder attachment vrij eenvoudig zijn code bij een slachtoffer krijgt.

Erik Remmelzwaal, directeur bij DearBytes, zegt: "Cybercriminelen zijn snel boven op het lek gedoken, onder andere voor het verspreiden van de ransomware Locky. Organisaties hebben dus maar kort de tijd om kritieke lekken te patchen en misbruik onmogelijk te maken."

Mitigerende maatregelen

Omdat Microsoft zelf geen actie heeft ondernomen, adviseert DearBytes daarom de volgende 3 maatregelen te treffen om te voorkomen dat organisaties slachtoffer worden van aanvallen via Office-documenten:

1. Schakel DDEAuto uit

Maak bijvoorbeeld gebruik van 'Disable DDEAuto'. Dit is een registryfile die wordt bijgehouden op GitHub en ervoor zorgt dat de 'update links'- en 'embedded files'-functionaliteiten worden uitgeschakeld.

2. Bekijk de oplossingen die Microsoft aanreikt

Microsoft legt op hun TechNet-website en op de supportwebsite uit hoe je OLE-objecten en macro's beter onder controle krijgt. Dit voorkomt echter niet dat .exe-bestanden direct worden gedownload en uitgevoerd.

3. Voorkom dat Office-onderdelen bepaalde andere executables aanroepen

Het gevolg van een DDE- maar ook van een macro-aanval is dat een aanvaller bijvoorbeeld Word of Outlook een ander programma laat starten. Nu is het niet vreemd dat Word een printerprogramma aanroept, maar dat het een systeemcommando wil uitvoeren, is voor de meeste gebruikers zeldzaam. Het researchteam van DearBytes meldt dat het gebruik van endpoint-protectionsoftware een effectieve methode kan zijn om te voorkomen dat Office-applicaties bepaalde andere executables starten.

DearBytes heeft met behulp van McAfee Access Protection een blokkerende rule ontwikkeld die uitvoer van kwaadaardige code via DDE voorkomt. In deze 'blokkade' zijn bijvoorbeeld ongebruikelijke executables opgenomen zoals cmd.exe, powershell.exe, rundll32.exe en cscript.exe. De rule blijkt naast DDE-aanvallen ook effectief tegen macro-aanvallen.

Meer over
Lees ook
Proofpoint: Noord-Koreaanse hackers stelen miljarden aan cryptocurrency

Proofpoint: Noord-Koreaanse hackers stelen miljarden aan cryptocurrency

TA444, een staatsgesponsorde hackersgroep uit Noord-Korea is waarschijnlijk belast met het genereren van inkomsten voor het Noord-Koreaanse regime. Deze aanvallen overlappen met APT38, Bluenoroff, BlackAlicanto, Stardust Chollima en COPERNICIUM. In het verleden waren de pijlen gericht op banken om uiteindelijk geld door te sluizen naar andere dele1

Onderzoek Venafi onthult bloeiende ransomware-marktplaats op het dark web

Onderzoek Venafi onthult bloeiende ransomware-marktplaats op het dark web

Venafi maakt de resultaten bekend van een dark web-onderzoek naar ransomware die via kwaadaardige macro's wordt verspreid. Venafi en Forensic Pathways, een specialist in criminele inlichtingen, hebben tussen november 2021 en maart 2022 35 miljoen dark web-URL's geanalyseerd van marktplaatsen en forums, met behulp van de Forensic Pathways Dark Sear1

Proofpoint: Cybercriminelen bereiden zich voor op een wereld zonder macro's

Proofpoint: Cybercriminelen bereiden zich voor op een wereld zonder macro's

Microsoft kondigde in oktober 2021 en februari 2022 aan dat het XL4- en VBA-macro's standaard gaat blokkeren voor Office-gebruikers. De wijzigingen zijn uiteindelijk dit jaar van start gegaan. Cybercriminelen hebben hier op gereageerd door af te stappen van macro-gebaseerde aanvallen.